如何查看osquery模式描述？

Question

我对运行osqueryi.exe时可以看到的一些可用表感到好奇。

我有这些表。

osquery> .tables
  => appcompat_shims
  => arp_cache
  => authenticode
  => autoexec
  => bitlocker_info
  => carbon_black_info
  => carves
  => certificates
  => chocolatey_packages

...

然后，我想知道其中的一些内容，例如，我查找了流程表here的源。

其中有很多描述没有显示schema命令...问题是...有没有办法查看似乎在源代码中的元数据？

osquery> .schema processes
CREATE TABLE processes(`pid` BIGINT,
 `name` TEXT,
 `path` TEXT,
 `cmdline` TEXT,
 `state` TEXT,
 `cwd` TEXT,
 `root` TEXT,
 `uid` BIGINT,
 `gid` BIGINT,
 `euid` BIGINT,
 `egid` BIGINT,
 `suid` BIGINT,
 `sgid` BIGINT,
 `on_disk` INTEGER,
 `wired_size` BIGINT,
 `resident_size` BIGINT,
 `total_size` BIGINT,
 `user_time` BIGINT,
 `system_time` BIGINT,
 `disk_bytes_read` BIGINT,
 `disk_bytes_written` BIGINT,
 `start_time` BIGINT,
 `parent` BIGINT,
 `pgroup` BIGINT,
 `threads` INTEGER,
 `nice` INTEGER,
 `is_elevated_token` INTEGER,
 `elapsed_time` BIGINT,
 `handle_count` BIGINT,
 `percent_processor_time` BIGINT,
 `upid` BIGINT HIDDEN,
 `uppid` BIGINT HIDDEN,
 `cpu_type` INTEGER HIDDEN,
 `cpu_subtype` INTEGER HIDDEN,
 `phys_footprint` BIGINT HIDDEN,
 PRIMARY KEY (`pid`)) WITHOUT ROWID;

Answer 1

我不确定您要问什么。我相信sqlite应该向您显示规范文件中的内容。 （尽管隐藏的列是隐藏的）

您还可以在线查看表格文档-https://osquery.io/schema